ADVOKATFIRMAET SCHJØDT AS
Postboks 2444 Solli
0201 OSLO
Deres referanse Vår referanse Dato
20/01801-23 28.10.2024
Vedtak om irettesettelse - behandling av personopplysninger uten rettslig
grunnlag - Disqus Inc.
1. Innledning
Vi viser til tidligere korrespondanse i saken fra 2021 og 2022, herunder vårt varsel om vedtak
om overtredelsesgebyr datert 2. mai 2021.
Vi beklager den lange saksbehandlingstiden.
2. Vedtak om irettesettelse
Datatilsynet har i dag fattet følgende vedtak:
Med hjemmel i personvernforordningen artikkel 58 nr. 2 bokstav b utsteder vi en
irettesettelse til Disqus Inc., for å ha utlevert personopplysninger om registrerte i Norge i
sanntid til morselskapet Zeta Global, uten rettslig grunnlag, jf. personvernforordningen
artikkel 6 nr. 1, og i strid med lovlighetsprinsippet, jf. artikkel 5 nr. 1 bokstav a.
3. Personvernforordningens geografiske virkeområde og Datatilsynets kompetanse og
myndighet
Disqus Inc. (heretter «Disqus» eller «selskapet») har tatt forbehold om at både det geografiske
virkeområdet til personvernforordningen og Datatilsynets kompetanse i saken, kan bestrides.
Denne anførselen avvises av Datatilsynet, og vi fastholder at den behandlingen av
personopplysninger som denne saken gjelder og som Disqus er behandlingsansvarlig for,
omfattes av personvernforordningen artikkel 3 nr. 2, og at den dermed faller inn under det
geografiske virkeområdet til forordningen. Videre fastholder vi at Datatilsynet har
kompetanse og myndighet i den foreliggende saken i henhold til personvernforordningen
artikkel 55, 57 og 58. Vi viser for øvrig til punkt 5.3 og 5.4 i vårt varsel om vedtak, hvor vi
har redegjort nærmere både for personvernforordningens geografiske virkeområde og
Datatilsynets kompetanse og oppgaver etter forordningen.
Postadresse: Kontoradresse: Telefon: Org.nr: Hjemmeside: 1
Postboks 458 Sentrum Trelastgata 3 22 39 69 00 974 761 467 www.datatilsynet.no
0105 OSLO 0191 OSLO
4. Kort om saksgangen
Datatilsynet ble gjennom oppslag i media i 2019, kjent med at Disqus feilaktig hadde lagt til
grunn at personvernforordningen ikke gjaldt i Norge. Som følge av dette leverte selskapet i
perioden 20. juli 2018 til 12. desember 2019, en versjon av Disqus widget til norske nettsteder
som var beregnet for land utenfor EØS der personvernforordningen ikke gjelder. Datatilsynet
opprettet en tilsynssak på bakgrunn av informasjonen som kom frem i media.
I mai 2020 sendte vi et krav om redegjørelse til Disqus, for å innhente opplysninger i saken.
Vi mottok svar på redegjørelsen fra Disqus sitt morselskap Zeta Global i juli 2020. På
bakgrunn av redegjørelsen fra Zeta Global og informasjonen som kom frem i media, varslet
Datatilsynet i mai 2021 at vi ville ilegge Disqus et overtredelsesgebyr på 25 millioner norske
kroner.
I juli 2021 mottok Datatilsynet Disqus sine merknader til det varslede vedtaket, ved
advokatfirma Schjødt. Disqus hadde en rekke innsigelser både til det faktum som var lagt til
grunn for Datatilsynets varsel, og til Datatilsynets rettslige vurderinger. Vi kommer nærmere
tilbake til merknadene fra Disqus nedenfor.
I mai 2022 sendte Datatilsynet et nytt krav om redegjørelse til Disqus for å avklare forhold
rundt selskapsstrukturen i konsernet. Schjødt svarte på vegne av Disqus i juni 2022.
5. Sakens faktum
5.1 Innledning
Som tidligere nevnt fremkommer det av Disqus sine merknader til det varslede vedtaket, at
selskapet på flere områder er uenig i det faktum Datatilsynet la til grunn i varselet. Vi vil i det
følgende redegjøre både for de deler av faktum som det etter vår oppfatning er enighet om, og
de omstridte delene av faktum.
5.2 Tidsperioden og berørte nettsteder
I perioden fra 20. juli 2018 til 12. desember 2019 leverte Disqus en versjon av selskapets
kommentarfelt-tjeneste (Disqus widget) som var beregnet for land utenfor EØS, på følgende
norske nettsteder: p3.no, tv2.no/broom, khrono.no, adressa.no, rights.no og document.no.
Kommentarfelt-tjenesten som ble levert til de norske nettstedene var dermed ikke tilpasset
reglene i personvernforordningen, og hadde sporing og datadeling med Disqus som
standardinnstilling. Dette innebar at det via informasjonskapsler (Disqus Cookies) ble samlet
inn data om samtlige besøkende til de aktuelle nettstedene som ikke hadde aktivert
innstillinger i nettleseren om ikke å tillate informasjonskapsler.
I det varslede vedtaket la Datatilsynet til grunn at også nettstedet NRK.no/ytring var omfattet.
Disqus har i merknaden til varselet opplyst at de ikke samlet inn personopplysninger fra
NRK.no/ytring, siden det var den annonsefrie betalingsversjonen av tjenesten som ble
benyttet på nettstedet. Datatilsynet ser ikke grunn til å bestride denne opplysningen.
2
5.3 Behandlingsansvarlig
Disqus har bekreftet at de anser seg selv som behandlingsansvarlig for personopplysninger
som samles inn via Disqus Cookies. Selve plasseringen av informasjonskapslene og uthenting
av data fra disse, er ikke omfattet av denne saken. Datatilsynets tilsyn dreier seg utelukkende
om den etterfølgende behandlingen av personopplysningene. Dette blir nærmere redegjort for
i punkt 6.1 nedenfor.
5.4 Nærmere om den etterfølgende behandlingen
Datatilsynet la i varselet til grunn at Disqus samlet inn, sporet og analyserte store mengder
personopplysninger, herunder opplysninger om aktiviteten til besøkende på tvers av internett.
Videre la Datatilsynet til grunn at Disqus brukte opplysningene for å lage aggregerte
interessegrupper, i tillegg til individuell profilering.
Disqus avviser at de har profilert besøkende på de norske nettstedene i det omfanget
Datatilsynet la til grunn i varselet.
Selskapet har i merknaden opplyst at Disqus Cookies samler inn følgende data: impression
ID, unik ID, URL, referrer URL, tidsstempel, IP-adresse, bruker ID (for innloggede brukere),
nettstedets ID, bruker agent, språk og ikke-spor banner. Disqus har videre opplyst at de samler
inn personopplysninger ved besøk på andre nettsteder som også kjører tjenesten, men de
avviser at selskapet har logget besøk på nettsteder som ikke benytter tjenesten.
Disqus har for øvrig anført at de aldri profilerer fysiske personer basert på antatt politisk
tilhørighet, religion, seksuell orientering, fagforeningsmedlemskap eller spesifikke
helsetilstander, og at selskapet heller ikke analyserer innhold i kommentarfelt eller det
spesifikke innholdet i en artikkel eller på et nettsted der den registrerte kommenterer.
Videre har Disqus opplyst at de selv i utgangspunktet kun kategoriserer engelskspråklige
nettsteder, og at de da benytter brede kategorier som «golf», «mat» og «reise». For nettsteder
som ikke er engelskspråklig tillater Disqus at nettstedene kategoriserer seg selv. Dette er, slik
vi forstår merknadene fra Disqus, en aktiv handling som administrator for nettstedet selv må
gjøre. Administrator for nettstedet kan velge mellom ti forhåndsdefinerte kategorier (business,
celebrity, culture, entertainment, games, living, news, tech, style og sports). Det er slik vi
forstår tilbakemeldingen, kun nettstedets hovedkategori som benyttes i forbindelse med
profileringen. Det er imidlertid uklart om noen av de norske nettstedene ble kategorisert.
Disqus kaller denne behandlingen for «segmentering» av de registrerte, og vi oppfatter det
slik at Disqus mener dette ikke er å anse som profilering. Vi gjør for ordens skyld
oppmerksom på at den behandlingen av personopplysninger som Disqus kaller
«segmentering», etter vår vurdering faller inn under definisjonen av profilering i
personvernforordningen artikkel 4 nr. 4. Datatilsynet benytter derfor begrepet profilering når
vi omtaler denne behandlingen.
Vi oppfatter merknadene fra Disqus slik at selskapet hverken kan bekrefte eller utelukke at ett
eller flere av de aktuelle norske nettstedene hadde blitt kategorisert. I følge Disqus hadde
selskapet allerede slettet personopplysningene til de norske registrerte da Datatilsynet åpnet
3
tilsynssaken, med den følgen at de ikke kan sjekke nøyaktig hvilke opplysninger som var
registrert. Foretakene bak de aktuelle nettstedene er ikke part i tilsynssaken, og Datatilsynet
anser det lite sannsynlig at noen av disse på nåværende tidspunkt vil kunne dokumentere
innstillingene de benyttet i perioden 2018/2019.
Av hensyn til bevissituasjonen har Datatilsynet besluttet å legge Disqus sin forklaring av
omfanget av profileringen, til grunn for vedtaket.
I lys av det samlede bevisbildet kan Datatilsynet ikke legge til grunn at det foreligger
sannsynlighetsovervekt for at ett eller flere av de norske nettstedene var kategorisert. I
forlengelsen av dette kan Datatilsynet heller ikke legge til grunn at det foreligger
sannsynlighetsovervekt for at de registrerte som er omfattet av denne saken har blitt profilert
av Disqus.
5.5 Om adferdsbasert markedsføring
Datatilsynet la i varselet til grunn at Disqus benyttet de innsamlede personopplysningene til å
vise adferdsbasert markedsføring på p3.no, tv2.no/broom, khrono.no, adressa.no, rights.no og
document.no. Vi la videre til grunn at norske brukere kan ha blitt vist adferdsbasert
markedsføring når de har besøkt utenlandske nettsteder hvor Disqus har tilstedeværelse.
Disqus har i merknadene vist til at de i den annonsestøttede versjonen av tjenesten viser
annonser i kommentarfeltet som er kontekstuelle, utelukkende basert på innholdet på
nettstedet der annonsene vises. Datatilsynet ser ikke grunnlag i sakens beviser for å bestride
denne påstanden, og vi legger derfor til grunn at Disqus ikke har benyttet de innsamlede
personopplysningene til å vise adferdsbasert markedsføring i kommentarfeltmodulen (Disqus
widget) på de norske nettstedene.
Når det gjelder øvrig bruk av personopplysningene for markedsføringsformål forstår vi
Disqus sine merknader til varselet slik at selskapet ikke kan utelukke at de har brukt
personopplysningene om registrerte i Norge til formål knyttet til adferdsbasert markedsføring.
Dette forutsetter imidlertid at de registrerte har blitt profilert, noe Datatilsynet på bakgrunn av
bevisbildet i saken ikke kan slå fast med sannsynlighetsovervekt, jf. punkt 5.4 ovenfor. På
denne bakgrunn kan Datatilsynet heller ikke legge til grunn at det foreligger
sannsynlighetsovervekt for at Disqus har formildet adferdsbasert markedsføring til de
registrerte på bakgrunn av personopplysningene som ble samlet inn fra de norske nettstedene.
5.6 Deling av data med tredjeparter
Disqus har bekreftet at de har delt alle de innsamlede personopplysningene i sanntid med
morselskapet Zeta Global. Selskapet har imidlertid bestridt at opplysningene også ble delt
med Viglink og LiveRamp, slik Datatilsynet la til grunn i varselet.
Det var opplysninger i Disqus sin personvernerklæring samt opplysninger som kom frem i
media, som lå til grunn for Datatilsynets antagelse om at personopplysningene også ble delt
med Viglink og LiveRamp.
4
NRK Beta sin journalist har imidlertid gjort Datatilsynet oppmerksom på at testene som ble
utført av konsulentselskapet Conzentio, viste at det likevel ikke ble delt data med LiveRamp.
Datatilsynet har ikke tilgang på rapporten fra Conzentio som eventuelt kunne sannsynliggjort
deling av data med Viglink.
På denne bakgrunn legger vi opplysningen fra Disqus om at de kun har delt
personopplysninger fra de norske nettsidene med Zeta Global, til grunn for denne saken.
5.7 Antall berørte registrerte
Disqus har opplyst til Datatilsynet at de umiddelbart slettet personopplysninger om norske
registrerte da de ble oppmerksom på at personvernforordningen gjelder i Norge. Siden
dataene var slettet da Datatilsynet åpnet tilsynssak, har det ikke vært mulig for Disqus å angi
nøyaktig hvor mange norske registrerte som fikk sine personopplysninger behandlet av
selskapet. Disqus har imidlertid opplyst at det var 10 377 personer som hadde registrert seg
med en bruker i kommentarfelt-tjenesten på et av de norske nettstedene i perioden. Videre har
de bekreftet at de også samlet inn data om besøkende på de aktuelle nettstedene som ikke
registrerte seg med en bruker, med unntak av besøkende som hadde aktivert innstillinger i
nettleseren om å ikke tillate informasjonskapsler.
Datatilsynet har ikke gjort egne undersøkelser av antall besøkende på de aktuelle nettstedene i
perioden. Basert på opplysningene fra Disqus legger vi imidlertid til grunn at de har delt med
morselskapet Zeta Global, personopplysninger om 10 377 registrerte brukere i tillegg til et
ukjent antall uregistrerte besøkende på de aktuelle nettstedene som benyttet den
annonsestøttede versjonen av Disqus widget.
6. Datatilsynets rettslige vurdering
6.1 Forholdet til ekomloven § 2-7 b
Bruk av informasjonskapsler er særregulert i ekomloven § 2-7 b, som gjennomfører artikkel 5
nr. 3 i EUs kommunikasjonsverndirektiv1.
Det følger av ekomloven § 2-7 b første punktum at:
«[l]agring av opplysninger i brukers kommunikasjonsutstyr, eller å skaffe seg adgang til
slike, er ikke tillatt uten at brukeren er informert om hvilke opplysninger som behandles,
formålet med behandlingen, hvem som behandler opplysningene, og har samtykket til
dette.»
Som ordlyden viser regulerer bestemmelsen for det første lagring av opplysninger på den
registrertes enhet, for eksempel via en nettleser. Videre regulerer bestemmelsen adgang til
opplysningene som er lagret på enheten. I merknaden til bestemmelsen er det vist til at den er
1 DIRECTIVE 2002/58/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 12 July 2002
concerning the processing of personal data and the protection of privacy in the electronic communications sector
(Directive on privacy and electronic communications)
5
«utformet slik at det er selve handlingen – det å lagre eller hente informasjon – som
omfattes».2
Selve innsamlingen av personopplysninger som skjer via Disqus Cookies, og selskapets
uthenting av de aktuelle personopplysningene fra de registrertes enheter, omfattes altså av
rekkevidden av ekomloven § 2-7 b. Den videre behandlingen som skjer med
personopplysningene som Disqus har fått tilgang på via Disqus Cookies, faller imidlertid
utenfor rekkevidden til ekomloven § 2-7 b, og reguleres dermed av de generelle reglene i
personvernforordningen. Denne tolkningen støttes også av EDPB sin uttalelse om forholdet
mellom personvernforordningen og kommunikasjonsverndirektivet.3
Datatilsynet har avgrenset tilsynet til kun å gjelde Disqus sin etterfølgende behandling av
personopplysninger.
6.2 Vurdering av rettslig grunnlag for den etterfølgende behandlingen av personopplysninger
Personvernforordningen artikkel 6 nr. 1 krever at all behandling av personopplysninger har et
rettslig grunnlag. Disqus har i merknaden til varselet, anført at de hadde innhentet gyldig
samtykke til den etterfølgende behandlingen av personopplysninger som denne saken gjelder.
Det følger av artikkel 6 nr. 1 bokstav a at en behandling er lovlig dersom «den registrerte har
samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål».
Begrepet «samtykke» er i personvernforordningen artikkel 4 nr. 11 definert som:
«enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der
vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling
av personopplysninger som gjelder vedkommende».
Videre heter det i personvernforordningen artikkel 7 nr. 1:
«Dersom behandlingen bygger på samtykke, skal den behandlingsansvarlige kunne påvise
at den registrerte har samtykket til behandling av personopplysninger om vedkommende.»
I merknadene til varselet har Disqus anført at selskapet «innhentet samtykker til bruken av
cookies og etterfølgende behandling av innhentede personopplysninger i henhold til NKOMs
retningslinjer som var gjeldende frem til 27. november 2019». (Vår understreking.) Disqus
har videre anført at Datatilsynet må se hen til Nkom sine retningslinjer ved vurdering av om
Disqus har innhentet tilstrekkelig samtykker for den etterfølgende behandlingen.
Kravene til et gyldig samtykke etter ekomloven, slik rettstilstanden var i den aktuelle perioden
da behandlingen av personopplysninger fant sted, samsvarte ikke med kravene til et samtykke
etter personvernforordningen. Dette er også synliggjort av lovgiver i merknaden til
ekomloven § 2-7 b, hvor det heter:
2 Prop.69 L (2012-2013) på s. 102.
3 Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, in particular regarding the
competence, tasks and powers of data protection authorities, se særlig avsnitt 41.
6
«Kravet til samtykke er av praktiske årsaker ikke sammenfallende med krav til samtykke
etter personopplysningsloven.»4
Vi gjør for ordens skyld oppmerksom på at Datatilsynet ikke har tatt stilling til om Disqus
innhentet et gyldig samtykke etter ekomloven for plassering av informasjonskapsler og
uthenting av informasjon fra disse, da dette faller utenfor rekkevidden av Datatilsynets
undersøkelser i saken.
Den etterfølgende behandlingen som den foreliggende tilsynssaken gjelder, reguleres
imidlertid ikke av ekomloven, men av personvernforordningen, jf. drøftelsen i punkt 6.1
ovenfor. Personvernforordningen er fullharmonisert, og kravet til samtykke skal tolkes likt på
tvers av forordningens geografiske anvendelsesområde. Dette innebærer at det enkelte
medlemsland ikke står fritt til selv å definere hva som utgjør et gyldig samtykke etter
forordningen, og det er derfor ikke relevant å se hen til Nkom sin tolkning av samtykkekravet
etter ekomloven.
Disqus har vist til at det rettslige grunnlaget for den etterfølgende behandlingen var samtykke
på bakgrunn av forhåndsinnstillinger i de registrertes nettlesere.
Det følger av regelverket som er gjengitt ovenfor, at det er flere vilkår som må være oppfylt
for at et samtykke skal anses gyldig etter personvernforordningen. Etter Datatilsynets
vurdering er det klart at en generell forhåndsinnstilling i den registrertes nettleser ikke
oppfyller vilkårene for et gyldig samtykke etter personvernforordningen artikkel 6 nr. 1
bokstav a, jf. artikkel 4 nr. 11.
Selv om det skulle kreves en aktiv handling for å aktivere innstillingen vil ikke samtykket
være:
• frivillig, ved at det ikke kan samtykkes for hvert formål
• spesifikt, ettersom samtykket ikke er knyttet til det spesifikke behandlingsformålet
• informert, fordi man ikke kan forstå hva man samtykker til i et slikt generelt samtykke
• utvetydig, ved at den behandlingsansvarlige ikke kan være sikker på at den registrerte
har ment å samtykke til deres etterfølgende bruk av data fra informasjonskapsler, og
heller ikke kan bevise dette i henhold til personvernforordningen artikkel 7 nr. 1
• samtykket kan ikke trekkes tilbake like lett som det er gitt
Når det gjelder de 10 377 personene som registrerte seg med en bruker hos Disqus, så har
selskapet opplyst at det som en del av registreringsprosessen var obligatorisk å huke av for
samtykke til markedsføring. I redegjørelsen, som kom fra Disqus sitt morselskap Zeta Global,
har morselskapet selv gitt uttrykk for at disse «samtykkene» ikke overhold kravene til
samtykke etter personvernforordningen. Datatilsynet er enig i denne vurderingen.
4 Prop.69 L (2012-2013) på side 102.
7
På bakgrunn av ovennevnte konkluderer vi med at Disqus ikke hadde innhentet gyldig
samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a, jf. artikkel 4 nr. 11, for å
utlevere personopplysninger i sanntid til morselskapet Zeta Global. Disqus har ikke anført
andre rettslige grunnlag for utleveringen av personopplysninger til Zeta Global, og
Datatilsynet kan heller ikke se at det foreligger andre aktuelle rettslige grunnlag i artikkel 6.
6.3 Lovlighetsprinsippet
Personvernforordningen artikkel 5 oppstiller noen grunnleggende prinsipper for behandling av
personopplysninger. Det følger av artikkel 5 nr. 1 bokstav a, at personopplysninger skal
«behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte».
Kravet til rettslig grunnlag i artikkel 6 nr. 1 er et uttrykk for prinsippet om at
personopplysninger skal behandles på en lovlig måte (lovlighetsprinsippet). Behandling av
personopplysninger uten et gyldig rettslig grunnlag er ulovlig, og dermed også et brudd på
lovlighetsprinsippet i artikkel 5 nr. 1 bokstav a.
6.4 Oppsummering av Datatilsynets konklusjoner
Oppsummert konkluderer Datatilsynet med at særregelen i ekomloven § 2-7 b ikke regulerer
de etterfølgende behandlingsaktivitetene som er gjenstand for denne saken. Det er dermed
personvernforordningens generelle regler som kommer til anvendelse på behandlingen.
Datatilsynet konkluderer videre med at Disqus ikke hadde rettslig grunnlag i artikkel 6 nr. 1
for å utlevere personopplysninger i sanntid til morselskapet Zeta Global.
Behandlingen av de registrertes personopplysninger var dermed også i strid med
lovlighetsprinsippet som følger av personvernforordningen artikkel 5 nr. 1 bokstav a.
Av hensyn til bevissituasjonen i saken har vi ikke vurdert det hensiktsmessig å gå videre med
de øvrige punktene som inngikk i varselet.
7. Irettesettelse
Irettesettelse er en forvaltningsmessig reaksjon med formål å markere kritikk av de omtalte
bruddene på reglene. Ileggelse av irettesettelse vil kunne bli lagt vekt på i en eventuell senere
vurdering av ileggelse av overtredelsesgebyr hvis det forekommer tilsvarende brudd på
regelverket, jf. personvernforordningen art. 83 nr. 2 bokstav i.
Behandling av personopplysninger uten et gyldig rettslig grunnlag som denne saken gjelder,
tilsier i utgangspunktet at overtredelsen er alvorlig, og at tilsynet reagerer med
overtredelsesgebyr. I noen saker foreligger det likevel forhold som tilsier at irettesettelse er
passende reaksjon.
I denne saken ble det opprinnelig varslet et overtredelsesgebyr for brudd på
personvernreglene. Som redegjort for i punkt 5 er Disqus på flere områder uenig i det faktum
Datatilsynet la til grunn i varselet.
8
Datatilsynet har, som nevnt, ikke tilgang på rapporten fra Conzentio som eventuelt kunne
nærmere dokumentert noen av påstandene som Disqus bestrider i sine merknader til varselet.
Av bevishensyn har derfor Datatilsynet på flere punkter lagt til grunn Disqus sine påstander
om de faktiske forholdene i merknadene til varselet. Personvernbruddet Datatilsynet har
funnet sannsynliggjort i dette vedtaket, er dermed av et langt mindre omfang og alvorlighet
enn de antatte bruddene som opprinnelig lå til grunn for varselet.
Videre har denne saken beklageligvis blitt gjenstand for lang saksbehandlingstid hos
Datatilsynet. I samsvar med praksis hos Personvernnemnda, har vi lagt vekt på tidsforløpet i
vurderingen vår av den endelige sanksjonsfastsettelsen. Vi viser til Personvernnemndas
avgjørelser i sakene PVN-2022-3, PVN-2021-20, PVN-2021-16, PVN-2021-13 og PVN-
2021-3.
På bakgrunn av det ovennevnte, og etter en totalvurdering, har vi kommet til at en
irettesettelse er den mest hensiktsmessige reaksjonsformen i denne saken.
8. Klageadgang
Disqus Inc. kan klage på vedtaket om irettesettelse. En eventuell klage må sendes til
Datatilsynet innen tre uker etter at dette brevet er mottatt, jf. forvaltningsloven §§ 28 og
29. Dersom vi opprettholder vårt vedtak vil vi sende saken videre til Personvernnemnda for
klagebehandling
9. Offentlighet og innsyn
Vi vil informere dere om at alle dokumentene i utgangspunktet er offentlige, jf.
offentlighetsloven § 3. Dersom dere mener det er grunnlag for å unnta hele eller deler av
dokumentet fra offentlig innsyn, ber vi dere om å begrunne dette.
Med vennlig hilsen
Line Coll
direktør
Miriam Karlsen
juridisk seniorrådgiver
Dokumentet er elektronisk godkjent og har derfor ingen håndskrevne signaturer
9